microsoft.ad.group модуль – Управление объектами групп Active Directory

attributes

словарь

Атрибуты для добавления, удаления или изменения на объекте каталога Active Directory.

Значение каждого атрибута должно быть словарем, где ключ — это атрибут LDAP, например firstName, comment, а значение — значение или список значений для этого атрибута.

Значение атрибута(ов) может быть строкой, целым числом или булевым значением для добавления, удаления или изменения атрибута.

Значение также может быть словарем с ключом type, установленным в bytes, date_time, security_descriptor, или raw, а значением для этого элемента в ключе value.

Тип bytes имеет значение — строку, закодированную в base64, содержащую исходные байты.

Тип date_time имеет значение — строку в формате ISO 8601 DateTime, представляющую дату и время. Дата и время будут установлены как целое число Microsoft FILETIME — количество 100 наносекунд с момента 1601-01-01 по UTC.

Тип security_descriptor имеет значение — строку SDDL дескриптора безопасности, используемую для атрибута nTSecurityDescriptor.

Тип raw — целое число, строка или булевое значение для установки.

Строковые значения атрибутов сравниваются с использованием регистрозависимого соответствия на объекте каталога Active Directory.

Дополнительную информацию см. в справочнике по атрибутам LDAP.

По умолчанию: {}

add

словарь

Словарь всех атрибутов и их значений, которые необходимо добавить к объекту Active Directory, если они еще не присутствуют.

Используется для атрибутов, которые могут содержать несколько значений. Если атрибут допускает только одно значение, используйте set.

По умолчанию: {}

remove

словарь

Словарь всех атрибутов и их значений, которые необходимо удалить из объекта Active Directory, если они присутствуют.

Используется для атрибутов, которые могут содержать несколько значений. Если атрибут допускает только одно значение, используйте set.

По умолчанию: {}

set

словарь

Словарь всех атрибутов и их значений, которые необходимо установить для объекта Active Directory.

Заменит любые существующие значения, если они не совпадают с запрашиваемыми.

Порядок значений атрибутов не проверяется, только то, что запрошенные значения являются единственными значениями в атрибуте объекта.

Установите в null или пустой список, чтобы очистить любые значения для атрибута.

По умолчанию: {}

category

строка

Категория группы.

Если создается новая группа, по умолчанию используется security.

Группы security могут быть связаны с списками управления доступом, тогда как группы distribution обычно связаны с рассылками.

Это значение устанавливается в атрибуте LDAP groupType.

Варианты:

• "distribution"
• "security"

description

строка

Описание объекта Active Directory.

Это значение устанавливается в атрибуте LDAP description.

display_name

строка

Отображаемое имя объекта Active Directory.

Это значение атрибута LDAP displayName.

domain_credentials

список / элементы=словарь

Указывает учетные данные, которые следует использовать при работе с сервером, указанным в name.

Для указания учетных данных для сервера домена по умолчанию используйте запись без ключа name или используйте опции domain_username и domain_password.

Это можно установить в параметрах модуля playbook в группе group/microsoft.ad.domain.

Дополнительную информацию см. в аутентификации AD в модулях.

По умолчанию: []

name

строка

Имя сервера, для которого предназначены эти учетные данные.

Это значение должно соответствовать значению, используемому в других параметрах, которые указывают на использование пользовательского сервера, например, параметр, ссылающийся на идентификатор AD, расположенный на другом сервере AD.

Этот ключ можно опустить в одной записи, чтобы указать учетные данные по умолчанию для использования, когда сервер не указан, вместо использования domain_username и domain_password.

password

строка / обязательно

Пароль для подключения к серверу, указанному в name.

username

строка / обязательно

Имя пользователя для подключения к серверу, указанному в name.

domain_password

строка

Пароль для domain_username.

Запись domain_credentials без ключа name также можно использовать для указания учетных данных для проверки подлинности по умолчанию для домена.

Это можно установить в параметрах модуля playbook в группе group/microsoft.ad.domain.

domain_server

строка

Указывает экземпляр Active Directory Domain Services, с которым необходимо подключиться.

Может быть в формате FQDN или NetBIOS имени.

Если не указано, значение основано на домене компьютера, на котором работает PowerShell.

Пользовательские учетные данные можно указать в записи domain_credentials без ключа name или через domain_username и domain_password.

Это можно установить в параметрах модуля playbook в группе group/microsoft.ad.domain.

domain_username

string

Имя пользователя для взаимодействия с AD.

Если не задано, для аутентификации используется пользователь подключения.

Ansible не сможет использовать пользователя подключения, если аутентификация не Kerberos с делегированием учетных данных или CredSSP, или не используется become в задаче.

Также можно указать учетные данные для стандартной доменной аутентификации с помощью подзаписи domain_credentials без ключа name.

Это можно задать в значениях по умолчанию модуля плана по умолчанию для модулей в группе group/microsoft.ad.domain.

homepage

string

Главная страница группы.

Это значение, заданное в атрибуте wWWHomePage LDAP.

identity

string

Идентификатор объекта AD, используемый для поиска управляемого объекта AD.

Это необходимо указать, если не задано name, при переименовании объекта с новым name или при перемещении объекта в другой path.

Идентификатор может быть представлен GUID, представляющим значение objectGUID, userPrincipalName, sAMAccountName, objectSid, или distinguishedName.

Если опущено, объект AD выбирается по distinguishedName с использованием формата CN={{ name }},{{ path }}. Если path не определён, используется defaultNamingContext.

При использовании модуля microsoft.ad.computer, идентификатор автоматически добавит $ в конец sAMAccountName, если предоставленное значение не привело к совпадению и не имело $ в конце.

managed_by

any

Пользователь или группа, управляющая группой.

Значение может быть строкой в формате distinguishedName, objectGUID, objectSid, sAMAccountName, или userPrincipalName или словарем с ключами name и необязательным ключом server.

Это значение задаётся в атрибуте managedBy LDAP.

См. Атрибуты поиска по DN для получения дополнительной информации о работе поиска по DN.

members

dictionary

Члены группы, которые нужно установить.

Значение — словарь, содержащий 3 ключа: add, remove и set.

Значения каждого подключа — список значений в формате distinguishedName, objectGUID, objectSid, sAMAccountName, или userPrincipalName или словаре с ключами name и необязательным ключом server.

Значение каждого подключа может быть строкой или словарем с ключами name и необязательным ключом server. name — идентификатор для поиска, server — необязательный ключ для переопределения сервера AD для поиска идентификатора.

См. Атрибуты поиска по DN для получения дополнительной информации.

add

list / elements=any

Добавляет указанных субъектов в качестве членов группы, сохраняя существующие члены, если они не указаны.

lookup_failure_action

string

Управление действием при неудачном поиске DN.

fail приведёт к ошибке задачи.

ignore проигнорирует значение и продолжит.

warn проигнорирует значение и отобразит предупреждение.

Варианты:

• "fail" ← (по умолчанию)
• "ignore"
• "warn"

remove

list / elements=any

Удаляет указанных субъектов в качестве членов группы, сохраняя существующие члены, если они не указаны.

set

list / elements=any

Устанавливает только указанных субъектов в качестве членов группы.

Любой другой существующий член будет удалён из группы, если он не указан в этом списке.

Установка пустого списка удалит всех членов из группы.

name

string

Имя управляемого объекта AD. Это не полное имя объекта, а запись LDAP cn или name объекта в указанном пути. Используйте identity для выбора объекта по его sAMAccountName.

Если identity задан, а имя найденного объекта не совпадает с этим значением, объект будет переименован.

Это необходимо указать, если identity не задан.

path

string

Путь к контейнеру (OU), где должен находиться новый объект.

При создании нового объекта, новый объект будет создан в указанном пути. Если путь не указан, для большинства типов объектов будет использоваться путь к корню домена.

При управлении существующим объектом, найденным по identity, путь найденного объекта будет перемещён в указанный в этом параметре. Если путь не указан, объект не будет перемещён.

Модули microsoft.ad.computer, microsoft.ad.user и microsoft.ad.group имеют свой собственный путь по умолчанию, настроенный на контроллере домена Active Directory.

Это можно установить в буквальное значение microsoft.ad.default_path, которое будет равно значению по умолчанию при создании нового объекта.

protect_from_deletion

boolean

Помечает объект как защищённый от случайного удаления.

Это применяет право запрета удаления объекта и защиту необходимо снять, прежде чем объект можно будет удалить через графический интерфейс или любой другой инструмент, кроме Ansible.

Использование state=absent всё равно удалит объект AD, даже если он помечен как защищённый от удаления.

Варианты:

• false
• true

sam_account_name

string

Значение sAMAccountName для группы.

Если опущено, используется значение name при создании новой группы.

scope

string

Область действия группы.

Требуется, когда state=present и группа ещё не существует.

См. Область действия группы для получения дополнительной информации о различных областях действия групп домена.

Это значение устанавливается в атрибутах groupType LDAP.

Выбор:

• "domainlocal"
• "global"
• "universal"

state

string

Установите в present, чтобы убедиться, что объект AD существует.

Установите в absent, чтобы удалить объект AD, если он существует.

Параметр name должен быть задан, когда state=present.

Использование absent рекурсивно удалит объект AD и все дочерние объекты, если это контейнер. Он также удалит объект AD, даже если объект помечен как защищённый от случайного удаления.

Выбор:

• "absent"
• "present" ← (по умолчанию)